Ten kdo chce založit nebo provozuje veřejně přístupný SSH server jej chce určitě ochránit před útoky typu brute force (obyčejný slovníkový útok na přihlašovací jméno a heslo). Tento článek popisuje jak se bránit takovým metodám pomocí prograu fail2ban. S tímto nástrojem lze sledovat nejen SSH, ale i APACHE, FTP a další sužby. Dokonce je možné jej použít na odfiltrování spamu z wordpress pomocí pluginu, ale tím se tady zabývat nebudu.
Co potřebujeme
Bohatě postačí otevřít command line a nainstalovat debianovský balík příkazem:
sudo apt-get install fail2ban
Nastavení fail2ban
Fail2ban v podstatě žádné nastavení ani nepotřebuje na Ubuntu funguje ihned po instalaci.
Určitě je ale dobré umět program alespoň základně upravit.
Konfigurační soubor se nachází v /etc/fail2ban/jail.conf.
sudo gedit /etc/fail2ban/jail.conf
[DEFAULT]
# "ignoreip" can be an IP address, a CIDR mask or a DNS host
ignoreip = 127.0.0.1
bantime = 3600
maxretry = 3
# "ignoreip" can be an IP address, a CIDR mask or a DNS host
ignoreip = 127.0.0.1
bantime = 3600
maxretry = 3
Maxretry říká, že po třech neúspěšných pokusech o přístup bude tuto adresu automaticky blokovat na 3600 sekund (bantime) neboli hodinu. Ve většině případů roboti přesídlí na jiný server.
To je v podstaťě vše co potřebujeme nastavit pro plnou funkčnost. Nyní už stačí jen restartovat službu.
sudo /etc/init.d/fail2ban restart
Zatím jsem s tímto programem více nezkoušel, protože funguje naprosto bezproblémově, ale vězte že toho umí ještě mnohem více, například posílání emailu přes sendmail o banu atd.
Zdroj: http://www.fail2ban.org/wiki/index.php/HOWTOs